Технический аудит · 31.05.2026

pet.dk

Служба безопасности и разведки Дании

Служба безопасности и разведки Дании (PET) — 43 запроса, 5 доменов. Политика заявляет, что сторонний контент виден только принявшим cookie, а Google Maps подключается при клике. В замере Google Maps/Places API загружается на загрузке страницы, без клика и до согласия, передавая IP посетителя в Google (США). Consent-менеджер Cookiebot присутствует, но карту не удерживает.

Хронология обращений

+0 мс · загрузка портала

Контент и ресурсы с pet.dk.

+500 мс · Google Maps до согласия

maps.googleapis.com/maps/api/js?libraries=places — загрузка Google Maps/Places API на загрузке страницы, инициируется парсером, без клика. IP посетителя уходит в Google (США).

+496 мс · библиотека с CDN

cdnjs.cloudflare.com — jQuery-validation с Cloudflare. В политике не назван.

+6383 мс · полный Maps

maps-api-v3 common.js/util.js — полная инициализация Google Maps.

Декларация против факта

✓ Google Maps — заявлен как подключаемый при клике на карту («when you click on ... a Google Map») — заявлен

✓ Сторонний контент — виден только принявшим cookie («only visible to users... who have accepted») — заявлен

✓ Без согласия — только необходимые технические cookie — заявлен

+ Фактическая загрузка Google Maps/Places на загрузке страницы, без клика и до согласия — противоречит заявлению о клике и о загрузке только после принятия — не заявлен

+ Cookiebot (consent.cookiebot.com) — consent-инструмент, в политике не назван — не заявлен

+ cdnjs.cloudflare.com — библиотечный CDN, в политике не назван — не заявлен

Тайминги передачи

+495 мс Баннер согласия появился

+500 мс maps.googleapis.com

Google Maps/Places API на загрузке страницы, без клика. Google, США.

+6383 мс maps.googleapis.com

Полный код Maps. Google, США.

Зафиксированные трекеры

Google Maps / Places API (maps.googleapis.com)
Cookiebot (consent.cookiebot.com) — CMP
Cloudflare cdnjs (cdnjs.cloudflare.com) — библиотечный CDN

Признаки несоответствия GDPR

ePrivacy (датская Cookiebekendtgørelse) — согласие вопреки собственному правилу политики
Политика PET заявляет, что сторонний контент виден только тем, кто принял cookie, что Google Maps подключается при клике на карту, и что без согласия используются только необходимые технические cookie. В замере Google Maps/Places API (maps.googleapis.com/maps/api/js?libraries=places) загружается на +500 мс на загрузке страницы, инициируется парсером, без клика и без согласия. Далее подтягивается полный код Maps (+6383 мс). Сторонний контент активируется до принятия, что прямо противоречит политике.
GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача
Загрузка Google Maps API передаёт IP посетителя Google (США) до согласия. Политика описывает Google Maps как активируемый по клику и только после принятия cookie, и не раскрывает передачу IP на загрузке страницы. Библиотека загружается с cdnjs.cloudflare.com (Cloudflare), в политике не названного; consent-инструмент Cookiebot также не назван.

Контекст

pet.dk — официальный сайт Службы безопасности и разведки Дании (Politiets Efterretningstjeneste, PET), контрразведывательного и антитеррористического органа. Ответственный за обработку — PET / датская полиция. Действующая cookie-политика получена с сайта PET (в предоставленном документе раздел о cookie вёл на несуществующую страницу). Замер: 43 запроса, 5 доменов, снят на чистом браузере.

Кому уходят данные напрямую (до согласия)

Google (США) — IP посетителя через загрузку Google Maps/Places API на +500 мс, без клика.

Заявленное против фактического

Политика PET формулирует условия подключения сторонних сервисов строго. Во-первых, сторонние cookie используются, когда пользователь кликает на видео YouTube или карту Google Maps. Во-вторых, контент третьих сторон виден только тем пользователям, кто принял использование cookie на сайте. В-третьих, если согласие не дано, используются только необходимые технические cookie.

Замер противоречит всем трём положениям. На +500 мс, сразу на загрузке страницы и без какого-либо клика, парсер инициирует загрузку Google Maps/Places API (maps/api/js с библиотекой places). На +6383 мс подтягивается полный код Maps. Всё это при состоянии без согласия: за весь сеанс не выставлено ни одной cookie, выбор в consent-менеджере не сделан. Уже загрузка Maps API передаёт IP-адрес посетителя в Google (США). Таким образом сторонний сервис активируется на загрузке страницы, без клика и до принятия cookie — вопреки прямым заявлениям политики.

Consent-менеджер на сайте — Cookiebot (consent.cookiebot.com), загружается на +495 мс, но в самой политике по имени не назван. Библиотека проверки форм загружается с cdnjs.cloudflare.com (Cloudflare), также не упомянутого.

Тайминг относительно согласия

Cookiebot загружается на +495 мс, Google Maps — на +500 мс, практически одновременно; карта не удерживается до выбора пользователя. Полная инициализация Maps завершается на +6383 мс. На всём протяжении сеанса согласие не давалось (Set-Cookie ноль).

Чего по замеру утверждать нельзя

Замер охватывает одну страницу. Ключ Google Maps API присутствовал в запросе и был вычищен в публикуемом файле; клиентские ключи Maps по своей природе не являются секретом. На данном этапе Google Maps не выставляет cookie — расхождение состоит в том, что сторонний контент (код Maps) загружается и передаёт IP до согласия, вопреки заявлению о загрузке только после принятия. Вывод о получателе (Google, США) основан на домене и IP запросов. Обработка на стороне сервера в браузерном замере не видна.

Вывод

Сайт Службы безопасности и разведки Дании в политике заявляет, что сторонний контент виден только принявшим cookie, что Google Maps подключается по клику, и что без согласия используются лишь необходимые технические cookie. В замере Google Maps/Places API загружается на загрузке страницы, без клика и до согласия, передавая IP посетителя в Google (США); полная инициализация карты завершается позднее в сеансе. Consent-менеджер Cookiebot присутствует, но карту до согласия не удерживает и в политике не назван. Расхождение между тройным заявлением политики и фактической загрузкой стороннего сервиса до согласия, вместе с передачей IP получателю в США, указывает на несоблюдение требований о согласии и о раскрытии. Устранение: подключать Google Maps только по фактическому действию пользователя и после согласия в Cookiebot, как описывает политика, и раскрыть в политике consent-инструмент и используемый CDN.

Доказательство

Как проверить: скачайте файл и посчитайте его контрольную сумму — sha256sum файл.har (Linux, macOS) или certutil -hashfile файл.har SHA256 (Windows); она должна совпасть с указанной. Вывод разбора относится к объёму этого замера — см. ограничения методики.

Оригинал (разбор)

HAR-файл: dk/pet-dk-2026-05-31.har

SHA-256: 4d621f7629426298fa53110327ed5df70bff78bcf0dafc420aad8b7b48b45ded

Контрольный снимок

Ждём изменений

HAR-файлы хранятся в EU-инфраструктуре (Proton Drive). SHA-256 публикуется для проверки целостности.

Хотите получить ответ от компании по этому разбору? → Открыть инструмент

Впишите один раз — подставится во все письма ниже:

Дата подачи:

Все поля обязательны для печати документа — это формальное требование к самому письму (реквизиты официального обращения), а не сбор данных: ничего никуда не отправляется и не сохраняется, всё остаётся у вас в браузере и пропадает при закрытии страницы. Подробнее — в разделе методологии.

Шаг 1. Запрос доступа к данным (ст. 15 GDPR)

Отправьте это письмо компании напрямую — до обращения к регулятору у неё есть право ответить (ст. 12(3) GDPR — 30 дней).

Тема: Запрос доступа к персональным данным (ст. 15 GDPR) — pet.dk

Кому: [укажите адрес компании — DPO / поддержка / юридический отдел]
От: [Ваше имя], [контактный email]

Прошу предоставить доступ к моим персональным данным, обрабатываемым в связи с использованием сайта pet.dk.

1. Категории данных и цели обработки (ст. 15(1)(a)-(c))
На основании независимого технического анализа сайта прошу подтвердить и подробно раскрыть следующие категории обработки:

1) Политика PET заявляет, что сторонний контент виден только тем, кто принял cookie, что Google Maps подключается при клике на карту, и что без согласия используются только необходимые технические cookie. В замере Google Maps/Places API (maps.googleapis.com/maps/api/js?libraries=places) загружается на +500 мс на загрузке страницы, инициируется парсером, без клика и без согласия. Далее подтягивается полный код Maps (+6383 мс). Сторонний контент активируется до принятия, что прямо противоречит политике.

2) Загрузка Google Maps API передаёт IP посетителя Google (США) до согласия. Политика описывает Google Maps как активируемый по клику и только после принятия cookie, и не раскрывает передачу IP на загрузке страницы. Библиотека загружается с cdnjs.cloudflare.com (Cloudflare), в политике не названного; consent-инструмент Cookiebot также не назван.


2. Получатели, сроки хранения и передача за пределы ЕЭЗ (ст. 15(1)(c)-(d), 46)
Прошу также указать полный список третьих лиц-получателей, применимые сроки хранения по каждой категории и правовые основания передачи данных за пределы ЕЭЗ, если таковая происходит. Полный технический разбор с доказательствами (сохранённый сетевой журнал, контрольная сумма SHA-256) опубликован по адресу: https://gdpru.eu/audits/dk-pet-dk/

3. Автоматизированная обработка и профилирование (ст. 15(1)(h))
Прошу сообщить, применяется ли в отношении меня автоматизированное принятие решений или профилирование, и если да — раскрыть логику такой обработки.

С уважением,

[Ваше имя]
[контактный email]
[Страна]


[Дата]

Subject: Data access request (GDPR Art. 15) — pet.dk

To: [insert the company's address — DPO / support / legal department]
From: [Your name], [contact email]

I request access to my personal data processed in connection with the website pet.dk.

1. Categories of data and purposes of processing (Art. 15(1)(a)-(c))
Based on an independent technical analysis of the site, I request confirmation and detailed disclosure of the following categories of processing:

1) PET's policy states that third-party content is visible only to those who have accepted cookies, that Google Maps connects upon clicking the map, and that in the absence of consent only necessary technical cookies are used. In the capture, the Google Maps/Places API (maps.googleapis.com/maps/api/js?libraries=places) loads at +500 ms on page load, triggered by the parser, with no click and no consent. The full Maps code is then pulled in (+6383 ms). Third-party content is activated prior to acceptance, directly contradicting the policy.

2) The loading of the Google Maps API transmits the visitor's IP address to Google (USA) prior to consent. The policy describes Google Maps as activated by click and only after cookies are accepted, and does not disclose the transfer of the IP address on page load. The library loads from cdnjs.cloudflare.com (Cloudflare), not named in the policy; the Cookiebot consent tool is also not named.

2. Recipients, retention periods, and transfers outside the EEA (Art. 15(1)(c)-(d), 46)
I also request the full list of third-party recipients, the applicable retention period for each category, and the legal basis for any transfer of data outside the EEA. The full technical audit with evidence (saved network log, SHA-256 checksum) is published at: https://gdpru.eu/audits/dk-pet-dk/

3. Automated processing and profiling (Art. 15(1)(h))
Please state whether I am subject to automated decision-making or profiling, and if so, disclose the logic involved.

Sincerely,

[Your name]
[contact email]
[Country]

[Date]

Прошло 30 дней с момента обращения к компании, ответа нет? → Показать письмо для регулятора

Готовое письмо для подачи жалобы

Куда подавать: Datatilsynet — Датский орган по защите данных — подать жалобу онлайн →

Регулятор рассматривает жалобы на своём государственном языке. Есть официальный переведённый шаблон Европейского совета по защите данных (EDPB) — можно использовать его вместо этого письма или вместе с ним: Официальная форма жалобы EDPB (PDF, ваш язык)

Тема: Жалоба на обработку персональных данных — pet.dk

1. Предмет жалобы
Я подаю жалобу в отношении обработки моих персональных данных сайтом pet.dk.

2. Обстоятельства
Я посетил сайт pet.dk и обнаружил признаки несоответствия обработки моих персональных данных требованиям GDPR. Технический разбор, опубликованный на gdpru.eu 31.05.2026 (открытая методология, воспроизводимые измерения), документирует следующие признаки:

1) Политика PET заявляет, что сторонний контент виден только тем, кто принял cookie, что Google Maps подключается при клике на карту, и что без согласия используются только необходимые технические cookie. В замере Google Maps/Places API (maps.googleapis.com/maps/api/js?libraries=places) загружается на +500 мс на загрузке страницы, инициируется парсером, без клика и без согласия. Далее подтягивается полный код Maps (+6383 мс). Сторонний контент активируется до принятия, что прямо противоречит политике.

2) Загрузка Google Maps API передаёт IP посетителя Google (США) до согласия. Политика описывает Google Maps как активируемый по клику и только после принятия cookie, и не раскрывает передачу IP на загрузке страницы. Библиотека загружается с cdnjs.cloudflare.com (Cloudflare), в политике не названного; consent-инструмент Cookiebot также не назван.

Полная техническая документация опубликована по адресу: https://gdpru.eu/audits/dk-pet-dk/

3. Положения GDPR, соблюдение которых прошу проверить
ePrivacy (датская Cookiebekendtgørelse) — согласие вопреки собственному правилу политики; GDPR Art. 13(1)(e) + Chapter V — раскрытие получателей и передача

4. Требование
Прошу проверить изложенные обстоятельства и, если несоответствие подтвердится, принять меры, предусмотренные статьёй 58(2) GDPR.

5. Приложения
Полная доказательная база — HAR-файл, контрольная сумма SHA-256 и цитата из политики конфиденциальности сайта, документирующая указанное противоречие — опубликована и проверяема по ссылке в пункте 2 выше.

С уважением,

[Ваше имя]
[контактный email]
[Страна]

[Дата]

Subject: Complaint regarding personal data processing — pet.dk

1. Subject of the complaint
I am filing a complaint regarding the processing of my personal data by the website pet.dk.

2. Circumstances
I visited the website pet.dk and found indications that the processing of my personal data does not comply with the GDPR. The technical analysis published on gdpru.eu on 31 May 2026 (open methodology, reproducible measurements) documents the following indications:

1) PET's policy states that third-party content is visible only to those who have accepted cookies, that Google Maps connects upon clicking the map, and that in the absence of consent only necessary technical cookies are used. In the capture, the Google Maps/Places API (maps.googleapis.com/maps/api/js?libraries=places) loads at +500 ms on page load, triggered by the parser, with no click and no consent. The full Maps code is then pulled in (+6383 ms). Third-party content is activated prior to acceptance, directly contradicting the policy.

2) The loading of the Google Maps API transmits the visitor's IP address to Google (USA) prior to consent. The policy describes Google Maps as activated by click and only after cookies are accepted, and does not disclose the transfer of the IP address on page load. The library loads from cdnjs.cloudflare.com (Cloudflare), not named in the policy; the Cookiebot consent tool is also not named.

Full technical documentation is published at: https://gdpru.eu/audits/dk-pet-dk/

3. GDPR provisions I ask you to examine
ePrivacy (Danish Cookiebekendtgørelse) — consent contrary to the policy's own stated rule; GDPR Art. 13(1)(e) + Chapter V — disclosure of recipients and transfer

4. Request
I request that you examine the circumstances described and, if non-compliance is confirmed, apply the measures provided for in Article 58(2) GDPR.

5. Attachments
The full evidence base — the HAR file, its SHA-256 checksum and the quotation from the site's privacy policy documenting the stated contradiction — is published and verifiable at the link in point 2 above.

Sincerely,

[Your name]
[contact email]
[Country]


[Date]